История коммитов прекрасна. Много с одинаковым именем - вы бы их засквошили в один, что ли.
В последние дни язык коммитов сменился на русский - почему?

P.S.
Надеюсь, ИИ не использовался?
Ревьюить такое не хочется.

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

Это как сравнивать теплое с мягким.

> преподаватель попросил сформулировать преимущества SNMP

Троллит, наверное.

google: snmp vs ssh

SNMP используют больше для мониторинга (статистика и алерты), что, в самом деле, является частью управления. В принципе, изменять настройки через него тоже можно, но говорят что удовольствие ниже среднего.

Я бы расчитывал встретить управление по SNMP в каких-нибудь фирменных утилитах. Это не путь джедая.

Простота и дешевизна, вот целых два преимущества.
Умение проектировать простые и дешевые в сопровождении системы - это то, для чего в принципе учат инженеров. Не болтать о том, как "правильно" или как "лучше всего".

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

Важно помнить одну из неофициальных, но точно передающих суть, расшифровок SNMP - "security is not my problem".

> можете подсказать в чем плюсы snmp в управлении?

Если вам это еще актуально, то самая большая разница:

snmp - это машинный API (хреновенький по нынешним временам но как есть). Это значит что к нему есть документация "формальные контракты" и прочее. Т.е. известно хотя-бы примерно что на входе, что должно быть на выходе. Есть MIB файлы, схема и перечислены переменные. В том числе описано в каком формате что отдается.

cli - это суть человеческий интерфейс, это интерфейс который строился в расчете на то, что туда смотрит ЧЕЛОВЕК глазами, не машина.

Пример: Если вчера колонка в табличке вывода называлась ip, а в значении вчера было 1.1.1.1 255.255.255.255. А сегодня там написано ipv4 и 1.1.1.1/32 соответственно, то  человек спокойно это дело скушает и поймет. В случае с машинным интерфейсом у вас тут же поломается парсер, либо если у вас хороший программист писал софт и сделал проверку на входе, то программа упадет по какому-нибудь valueError. Потому что машина будет ожидать ровно то, что прописано в контракте (документации если угодно).

Все сказаное выше справедливо и для управления (т.е. парсер железки ругнулся на новый синтаксис, вы этот ответ прочитали и тут же ввели команду в другом формате).

В современных же реалиях больших сетей почти никто не управляет всем этим в ручную (через cli). У вас либо есть какой-нибудь NMS на стероидах, либо ansible (puppet, chef, you name it) в который вы через CI/CD либо еще как-то доставляете нормализованные входные данные. После тестирования изменений на пригодность и безопасность система сама эти самые измнения деплоит (наливает в устройства). Потом делает тесты после внесения изменений. Если необходимо откатывает изменения в случае если что-то пошло не так.

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

snmp есть везде, даже там где нет ssh :)

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

На самом деле все просто:
SSH это интерфейс Человек - Машина (текстовый) и мало пригоден для работы Машина - Машина.
То что народ парсит текст вывода команд, не делает его таковым.
SNMP же бинарный, основанный на ASN.1, относительно одинаково в базовых вещах реализованный у разных вендоров.
Шифрование:
В SNMP версии 3, применяется аутентификация при помощи хэша (MD5/SHA/SHA2) парольной фразы и/или шифрование при помощи симметричного, блочного шифрования (DES/3DES/AES128/192/256).
Все это относительно легко реализовать в желези и софте и оно быстро работает.
В SSH перед непосредственно работой, требуется соглассовать сеансовый ключ, а для этого применяется уже не симметричное шифрование (RSA например).
Ну еще масса различий но это то что приходит сходу на ум.

> всем хай. хочу купить домой роутер Cisco RV340W (другие фирмы не предлагать)
> для 2-х провайдеров, но возникли некоторые вопросы

...
> в настройках нужно обязательно входить в свой аккаунт smart accaunt cisco? без
> этой учётки я смогу управлять же роутером через веб в дальнейшем
> без проблем? не заблокируется управление роутером? smart accaunt у них только
> для компаний предоставляется

Имо, если не кошковод, pc или одноплатник c 2-4 eth..
Головняки создавть с вендорами за свои же ресурсы ? Нафейхоа ?

Вы его настроить то сможете? Зачем вам циска домой? Вы смотрели сколько она трафика прожевать сможет? Я бы на вашем месте взял бы микротик, если вам именно роутер нужен.

> всем хай. хочу купить домой роутер Cisco RV340W (другие фирмы не предлагать)

Это не "настоящая" циска, в ней нет IOS. Это для малого офиса серия. С тем же успехом можете какой нибудь зухель взять или асус.

при применении любого правила IPv4 в фаерволле (Firewall-Access Rules-IPv4 Access Rules Table) всегда обрываются все активные подключения на пару секунд через все wan порты. так и должно быть? такая особенность фаерволла?
подключены 2 провайдера, интернет работает в 2-х локалках всё раздельно, всё ок, у каждой локалки свой белый ip, прошивка стоит последняя 1.0.03.24 

>[оверквотинг удален]
> firewall_script="/etc/firewall.rules"
>
> /etc/firewall.rules
>

 
> ipfw -q flush 
> ipfw nat 1 config if em0 reset same_ports 
> ipfw add 300 nat 1 ip from 192.168.11.252 to any via em0 
> 

> Может кто то сталкивался с решением данной проблемы. Уже очень долго бьюсь,
> но он никак не хочет работать.

нафига тут фряха, если ты всех клиентов натишь одним ip?

итак, терминируем всех клиентов vpn на микротике.
1. У них своя сеть и кроме фильтров на для маршрутизации трафика на фряху ничего помечать не нужно, просто указывает маршрут для сети  10.22.11.0/24 в сторону фряхи.
2. На фряхе прописываем обратный маршрут до сети vpn клиентов через микрот.
3. Cмотрим tcpdump'ом что трафик от vpn клиента летит до фряхи.
4. Настраиваем nat на фряхе, по желанию

>[оверквотинг удален]
> Что посоветуете ?
> Сейчас используется:
> crypto map CRYPTO_MAP 10 ipsec-isakmp
>  set peer x.x.x.x
>  set peer y.y.y.y
>  set security-association lifetime seconds 190
>  set transform-set ts
>  match address VPN-TRAFFIC
> и SLA-ки на переключение маршрута по умолчанию у роутера.
> Может есть смысл все переделать на туннельные интерфейсы ?

Если подвязываетесь на Cisco, то классическая схема DMVPN + OSPF(EIGRP|BGP).
Если без привязки к вендору - статические GRE(IPIP)+IPSec+OSPF(BGP|EIGRP).
Для ускорения балансировки еще и BFD можно поднять, если ваше оборудование поддерживает.

Отбой. Производитель ответил.

> Здравствуйте.
> Разыскивается документация на мультиплексор П317-С, включая все возможные модули.
> Производство - АО «НТЦ ВСП «Супертел ДАЛС» г. Санкт-Петербург.
> На сайте документации нет, на письма производитель не отвечает.
> Заранее благодарен.

есть шлюз https://agatrt.ru/telefonizacziya-predpriyatij/voip-shlyuzy-...

Понятно что не дешёвый, они ведь для организаций. Можно попытаться самому сделать такой шлюз из одноплатного компьютера и платы или usb-устройства компьютерной телефонии https://agatrt.ru/kompyuternaya-telefoniya-cti/platy-i-ustro...

> Друзья Специалисты, добрый вечер!
> Есть дома старый аналоговый аппарат с дисковым набором и хочу вот, хоть
> ты тресни, подключить его чтобы звонить. Сделать понятно хочу это при
> помощи VoIP шлюза с FXS портом. Но вот не все они
> импульсный набор поддерживают, поэтому обращаюсь к вам, о Всеведающие!
> Дайте совет по выбору аппарата, желательно чтобы дешёвый и доступный к покупке.
> Спасибо!

Для этих целей скорее всего должно подойти что-то вроде Eltex TAU-2M.IP или AudioCodes MP202C-A/2S/SIP, у новых цена кусается, на авито цены на них приемлимые

> Друзья Специалисты, добрый вечер!
> Есть дома старый аналоговый аппарат с дисковым набором и хочу вот, хоть
> ты тресни, подключить его чтобы звонить. Сделать понятно хочу это при
> помощи VoIP шлюза с FXS портом. Но вот не все они
> импульсный набор поддерживают, поэтому обращаюсь к вам, о Всеведающие!
> Дайте совет по выбору аппарата, желательно чтобы дешёвый и доступный к покупке.
> Спасибо!

Для цели "дёшево и доступно" я бы посоветовал начать поиск с Grandstream HT801 или HT802 (если нужно два порта). Это самый распространенный и бюджетный вариант, а сообщество в интернете накопило достаточно инструкций о том, как включить и настроить импульсный набор именно на этих устройствах.

> Друзья Специалисты, добрый вечер!
> Есть дома старый аналоговый аппарат с дисковым набором и хочу вот, хоть
> ты тресни, подключить его чтобы звонить. Сделать понятно хочу это при
> помощи VoIP шлюза с FXS портом. Но вот не все они
> импульсный набор поддерживают, поэтому обращаюсь к вам, о Всеведающие!
> Дайте совет по выбору аппарата, желательно чтобы дешёвый и доступный к покупке.
> Спасибо!

Я использовал D-Link DVG-5004S, единственно не смог победить тихий звонок, в остальном работает без проблем.

> Это я маны недочитал или лыжи не едут?

https://www.opennet.dev/openforum/vsluhforumID6/23983.html?n=...

Читать со строчки: "Нужно разделить в голове четыре вещи:"

Когда вы прочитаете у вас возникнет вопрос, "А почему так?".

Ответ на этот вопрос: "Потому что легаси". Были коробки которые физически состояли из двух разных устройств со своим софтом, память и прочее. Т.е. часть этого общего конфига была в конфиге одной "железки" а другая в конфиге другой "железки".  Поэтому вот так.

по моему логично - шлюз (gateway) должен находится в той же сети где и ПК

>[оверквотинг удален]
> стороны пинги успешно проходят, с ПК подключенного к PIX видны через
> туннель ПК, подключенные к ASA, можно заходить по RDP, т.е. любой
> траффик ходит благодаря ACL и NONAT для криптокарты.
> Вопрос - должны ли ходить пакеты в обе стороны, если на ПК,
> подключенному к PIX будет указан шлюзом не PIX а любое другое
> устройство в подсети 192.168.7?
> По факту если шлюз не PIX то ничего не работает, можно только
> пингануть ASA на той стороне (management interface from inside включен) и
> наоборот сам PIX со стороны ASA. Но никакие другие IP в
> 192.168.7 из inside ASA через туннель не видны.

Если вы ставите в качестве маршрутизатора, хост, который не является маршрутизирующим узлом, а обычную рядовую станцию, вы чего хотите получить? У вас эти хосты, которые вы прописываете маршрутизатом умеют proxy-arp?

>[оверквотинг удален]
> в скором времени выйдут из строя из-за частой записи ну и
> вообще не хочется вникать в таковой вариант действий, потому акцент на
> облако. Какие бесплатные облака можно для неё использовать, ну или найти
> аналоговые решения?? спрашиваю потому как уже задрался искать ответ на мой
> вопрос, выручайте ! За абсолютно каждый вразумительный полезный ответ, я буду
> Вам очень благодарен и признателен!!!! только одна просьба, просто такое часто
> бывает, что в ответе просто с умничали а толку та.., потому
> если можно если по ситуации у Вас получается, то напишите более
> подробно и понятным языком порядок действий как это всё происходит. Обнял
> каждого, всем всех благ, и побольше улыбок в вашем окружении

А производитель камеры не предоставляет некоторое бесплатное количество мегабайт на своем облаке?
Обычно сейчас в ip-камерах скорее проблема отбрыкаться от этого "ненавязчивого" бесплатного сервиса по краже твоих частных фоток...

Но вообще - вы же можете использовать любое хранилище...хоть яндексдиск...

В общем проблема непонятна.

Ну мои соображения...
1. Камера *должна* обладать детектором движения и возможностью его настройки, ибо писать неподвижную картинку - глупо, бессмысленно и никакого хранилища не хватит.
2. Камера *должна* уметь писать по ftp - хотя бы потому что его можно настроить так чтоб записать было можно, а стереть - нет, даже есди ты знаешь l/p под которым записывал.
3. Камера *должна* уметь как-то управлять старыми записями. Ну или это должен делать сторонний софт. Иначе любое хранилище - переполнится.
4. ~1 часа записи - достаточно при аккуратном использовании... Сценариев сделать так чтоб записать только сам инцидент, а пустые записи - дропнуть, очень много. Сам придумашь.
5. FullHD обычно либо излишне, либо... недостаточно.

https://www.drivehq.com, если кто предложит ftp более 5Гб даром - скажу спасибо. Но конечно можно придумать и комбинированные варианты, если платить неохота, типа переодического бекапа на халявный терабайт майлрушечки... :)

> что со временем в связи с частой записью быстро выйдут из
> строя!

Да не выйдут. Есть специальная серия жестких дисков, по-моему Western Digital AV, которые специально заточены на то чтобы на них писать закольцованное потоковое видео (ага, постоянно перезаписывать хвост новыми данными), хотя у людей они прекрасно работают и в роли обычных винтов.

>[оверквотинг удален]
> в скором времени выйдут из строя из-за частой записи ну и
> вообще не хочется вникать в таковой вариант действий, потому акцент на
> облако. Какие бесплатные облака можно для неё использовать, ну или найти
> аналоговые решения?? спрашиваю потому как уже задрался искать ответ на мой
> вопрос, выручайте ! За абсолютно каждый вразумительный полезный ответ, я буду
> Вам очень благодарен и признателен!!!! только одна просьба, просто такое часто
> бывает, что в ответе просто с умничали а толку та.., потому
> если можно если по ситуации у Вас получается, то напишите более
> подробно и понятным языком порядок действий как это всё происходит. Обнял
> каждого, всем всех благ, и побольше улыбок в вашем окружении

А если самому сделать хранилище дома и сделать доступ во внешний мир? Или карту памяти вставить в камеру.

> Здравствуйте. Помогите скачать прошивки и патчи на оборудование Huawei. У поставщика закончилась
> поддержка.

Лучше проси в телеге, канал  Huawei сборная СНГ
актуальный invite
https://t.me/c/1233860510/192207

> привет форумчане! помогите с WF открывашкой WPA и WPA2. специально для этого
> установила Кали Линукс

братва, давай налегай, тут господину майору новуй звёздочку на погон очень хочется

Нихрена не понял как ты собрался свои "300+ моих VM" распихать на /28 )))
Оказалось что меня ... вообще интересный подход к решению задач, прям как в анекдоте "даю вводную".

>[оверквотинг удален]
> * в стойке куча хостов VMware+KVM
> * блок /28
> ожидалось, что /28 нарезан где-то в раутере, а мне отдали VLAN, куда
> воткнули портом.
> Оказалось, что меня воткнули в свитч ЦОД. IPv6, разумеется ни у кого
> не конфигурён. 300+ моих VM подняли радостный лай через NDP. Им
> ответили ВСЕ свитчи ЦОД и стали спорить по поводу default router.
> Мои 10Gb свитчи оказались сильнее. NDP шторм уложил весь ЦОД.
> Пришлось бежать в центр и рубить питание. А потом ставить свой раутер.
> А как нужно было сделать?

Ответ на вопрос:
Всегда(!) свою сеть отгораживать роутером/файрволом. Тем более что виртуалок у вас 300+.
Ну если только вы не берете L2 между площадками. Но это уже другая история.

С той стороны тоже шляпы. Клиенту, в большинстве случаев, должен отдаваться приватный VLAN в режиме access, и всегда без возможности доступа к менеджменту оборудования ЦОД. Т.е. конфликт между оборудованием клиента и оборудованием ДЦ должен быть невозможен.
Технические характеристики подключения согласовываются допником к договору, как и действия ЦОД/оператора связи по автоматической блокировке клиента в случае подобных эксцессов.

Тут не ДЦ кривой. Тут обе стороны не очень...

>[оверквотинг удален]
> * в стойке куча хостов VMware+KVM
> * блок /28
> ожидалось, что /28 нарезан где-то в раутере, а мне отдали VLAN, куда
> воткнули портом.
> Оказалось, что меня воткнули в свитч ЦОД. IPv6, разумеется ни у кого
> не конфигурён. 300+ моих VM подняли радостный лай через NDP. Им
> ответили ВСЕ свитчи ЦОД и стали спорить по поводу default router.
> Мои 10Gb свитчи оказались сильнее. NDP шторм уложил весь ЦОД.
> Пришлось бежать в центр и рубить питание. А потом ставить свой раутер.
> А как нужно было сделать?

Routed access
https://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/C...

> Подсобите в какую сторону смотреть, дальше?

https://community.cisco.com/t5/collaboration-knowledge-base/...

И вот таким сисадминам сейчас платят деньги...

Зависит от того, как много абонентов они на один "передатчик" запихивают. В простом езернете тоже никогда абоненту не приходят именно его n мегабит. Все так же, одна трубу делится на кучу абонентов. Все абоненты никогда не используют всю полосу на всю катушку. Полная аналогия с водопроводными трубами.

>[оверквотинг удален]
> Почитал про устройство GPON . дословно понял, что на все дерево в
> ветке максималная скорость не превышает 2.5 гбит\сек. Т.е если в многоквартирном
> доме (300 квартир) 20-30 квартир подключены + пара соседних домов (т.к.
> я не уверено, что одно волокно идет от GPON головного устройства
> в каждый дом), то скорость эта профанация?
> Или количество абонентов на гигабит в среднем такое же как и у
> других провайдров? просто интересно, если я возьму 800, и еще 3
> соседа возьмут по 800, да запустят торенты, это будет предел?
> И как у ростелекома качество услуг? Гугл конечно на этот вопрос отвечает,
> но уровень мнения там примерно "небыло не единого разрыва"

Был от них тариф со скоростью 200 мбит/сек. Выжимал до 150 мбит/сек, дальше мой комп не тянул, т.к. соединение было pptp.
Скорость закачки "измерял" на торрентах. Но заметил одну неприятную особенность, если качать из-за рубежа, то скорость падала до 25 мбит/сек.
За другими операторами большой тройки этого не замечал, на 100 мбит/сек канале скорость что по стране, что за рубеж стабильно была 80 мбит/сек.

>[оверквотинг удален]
> Почитал про устройство GPON . дословно понял, что на все дерево в
> ветке максималная скорость не превышает 2.5 гбит\сек. Т.е если в многоквартирном
> доме (300 квартир) 20-30 квартир подключены + пара соседних домов (т.к.
> я не уверено, что одно волокно идет от GPON головного устройства
> в каждый дом), то скорость эта профанация?
> Или количество абонентов на гигабит в среднем такое же как и у
> других провайдров? просто интересно, если я возьму 800, и еще 3
> соседа возьмут по 800, да запустят торенты, это будет предел?
> И как у ростелекома качество услуг? Гугл конечно на этот вопрос отвечает,
> но уровень мнения там примерно "небыло не единого разрыва"

НЕ вздумайте у GPON китайские модемы с процессором 500 мегагерц и плохой прошивкой и поменять вы этот оптический роутер на что то другое не сможете многие от этого страдают

> Друзья помогите пожалуйста. Сижу второй вечер. Проблема максимальная глупая и смешная.
> Есть Cisco2901 я хочу создать vlan
> Пишу: Cisco2901(config)# vlan 1
> Появляется: Invalid input detected at ‘^’ marker
> Я понимаю что это означает( что обнаружен не допустимый ввод). Но до
> этого на других маршрутизаторах точно так же прописывал и я заходил
> в конфигурацию vlana. Помогите друзья, что я упускаю ?

2901 - это роутер. У него порты L3.
Чтобы настраивать порты L2 вам нужно поставить модуль свитчевый.
Конфигурацию своего устройства вы не привели, поэтому для настройки VLAN на L3 интерфейсах используется приблизительно такая конструкция:

!
interfaca Gi0/0
no ip address
no shut
!
interface Gi0/0.1
encapulation dot1q 1
ip address 10.0.0.1 255.255.255.0
!
interface Gi 0/0.2
encapsulation dot1q 2
ip address 10.2.0.1 255.255.255.0
!

номера интерфейсов, VLAN и подсети поставьте свои.
Для VLAN 1 можно настройки внести на физический интерфейс, а не на sub-интерфейс.

> Друзья помогите пожалуйста. Сижу второй вечер. Проблема максимальная глупая и смешная.
> Есть Cisco2901 я хочу создать vlan
> Пишу: Cisco2901(config)# vlan 1
> Появляется: Invalid input detected at ‘^’ marker
> Я понимаю что это означает( что обнаружен не допустимый ввод). Но до
> этого на других маршрутизаторах точно так же прописывал и я заходил
> в конфигурацию vlana. Помогите друзья, что я упускаю ?

свитч модуль вставлен?
show inventory

> Друзья помогите пожалуйста. Сижу второй вечер. Проблема максимальная глупая и смешная.
> Есть Cisco2901 я хочу создать vlan
> Пишу: Cisco2901(config)# vlan 1
> Появляется: Invalid input detected at ‘^’ marker
> Я понимаю что это означает( что обнаружен не допустимый ввод). Но до
> этого на других маршрутизаторах точно так же прописывал и я заходил
> в конфигурацию vlana. Помогите друзья, что я упускаю ?

vlan 1 по умолчанию присутствует на любых коммутаторах

> Друзья помогите пожалуйста. Сижу второй вечер. Проблема максимальная глупая и смешная.
> Есть Cisco2901 я хочу создать vlan
> Пишу: Cisco2901(config)# vlan 1
> Появляется: Invalid input detected at ‘^’ marker
> Я понимаю что это означает( что обнаружен не допустимый ввод). Но до
> этого на других маршрутизаторах точно так же прописывал и я заходил
> в конфигурацию vlana. Помогите друзья, что я упускаю ?

т.е. если взять обнуленный коммутатор, все порты по умолчанию находятся в влан 1, возьмите другой номер )

> Друзья помогите пожалуйста. Сижу второй вечер. Проблема максимальная глупая и смешная.
> Есть Cisco2901 я хочу создать vlan
> Пишу: Cisco2901(config)# vlan 1
> Появляется: Invalid input detected at ‘^’ marker
> Я понимаю что это означает( что обнаружен не допустимый ввод). Но до
> этого на других маршрутизаторах точно так же прописывал и я заходил
> в конфигурацию vlana. Помогите друзья, что я упускаю ?

Нужно разделить в голове четыре вещи:

1,2 и 3 - это для тех у кого свич модуль установле, либо свич модуль изначально есть внутри коробки, всякие soho 800/900/1100 коробки, либо это прям L3 свич типа catalyst например)

1) создание vlan (#vlan 1) (для работы с L2 траффиком)

2) создание SVI switch virtual interface для этого vlan (для работы с L3 траффиком):
interface vlan 1
   ip address 1.1.1.0 255.255.255.0
Это в пределах модуля и влана работает на скорости порта (vlan1 -> vlan1)
Маршрутизация как правило будет упираться в проц (тут лучше смотреть документацию на платформу) (vlan1->vlan2)

3) определение порта в нужный влан:
interface fa1
  switchport
  switchport mode access
  switchport access vlan 1

4 - это для тех у кого нет свич модуля (почти все взрослые роутеры)
4) Создание sub interface для целей терминации тэгированного траффика.

interface gig0/1.1 (номер после точки можно поставить любой, но лучше такой же как номер vlan)
  encapsulation dot1q 1 (фактический номер vlan)
  ip address 1.1.1.0 255.255.255.0

Это почти всегда упирается в процессор (но тоже зависит от платформы и нужно смотреть документацию).

https://www.justogroup.ru/dokumentacija/cisco/marshrutizirue...

https://www.usedcisco.info/CISCO/Modules-AS.html сюдя по этой таблице
AS54-DFC-108NP  - карта в комплекте с dsp на 108 голосовых портов
а
AS5X-FC - карта без DSP но с 6ю слотами для DSP модулей

> Добрый день. Имеется Cisco 3850 версия IOS 16.6.4.
> На данном устройстве постоянно всплывает ошибка:
> CISCO 3850 Used Memory value 98% exceeds critical level 95%
> Нагрузка на железяку не большая, имеются такие же устройства в других офисах
> с ними такой проблемы нет.
> Кто может подсказать куда смотреть и как лечить?
> Могут ли из за этого быть дропы пакетов? По сети сейчас дропается
> до 20000 пакетов судя по системе мониторинга. Уже накапало - Total
> output drops: 4186948820

https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3...

CSCvk54649

Memory Leak in fman_rp on 3850 running 16.6.4

> Добрый день. Имеется Cisco 3850 версия IOS 16.6.4.
> На данном устройстве постоянно всплывает ошибка:
> CISCO 3850 Used Memory value 98% exceeds critical level 95%
> Нагрузка на железяку не большая, имеются такие же устройства в других офисах
> с ними такой проблемы нет.
> Кто может подсказать куда смотреть и как лечить?
> Могут ли из за этого быть дропы пакетов? По сети сейчас дропается
> до 20000 пакетов судя по системе мониторинга. Уже накапало - Total
> output drops: 4186948820

Обнови прошивку до последней cat3k_caa-universalk9.16.12.11.SPA.bin от 01-Apr-2024, или  хотя бы до 16.6.9  cat3k_caa-universalk9.16.06.09.SPA.bin от 26-Feb-2021. На свичи 3850 контракт не просит, любую можно скачать.

> Кто знает, подскажите на примере?

Лучший вариант утащить эту задачу на любой nginx/traefic или что там сейчас модно. На файрволе немного роутить, фарволить и натить, а на реверс прокси проксировать.

Мимо темы вопрос: Чего не взяли Palo или какое-нибудь более софтовое решение раз уж типичные задачи для L7 есть?

> Всем привет!
> Есть cisco asa 5516x, один внешний ip, esxi с десятком вебсайтов. Переезжаю
> с kerio control. У керио встроенный reverse proxy решает вопрос. У
> циски можно через SNI реализовать? HTTPS мне достаточно.
> Кто знает, подскажите на примере?

можно

> Домашний комп сетевая карта eth0 со статическим адресом 192.168.0.11
> Выход в интернет (оптоволокно) через оптоволокно модем (192.168.0.1) адрес компа привязан
> к MAC (короче без DHCP).
> # route add default gw 192.168.0.1 eth0
> все работает, все хорошо.
> Как мне настроить tun0 для подлючению к VPN серверу? и какой адрес
> нужен tun0?
> на серваке.

Заказать у оператора внешний статический ип адрес

show isdn status

> почитал...во всех случаях перезагрузка вызвана программным сбоем.
> Не знаю что может быть :(

Какой-нибудь хаксор с эксплойтом, что вы как маленькие.

На этом железе конденсаторы ещё живы?
Не верю (с)

> Впорос про 6500 и 7600 - в последнее время у вас не
> появились частые перезагрузки?

У этих коробок обычно аптаймы годами меряются. Ничего нового (тьфу-тьфу-тьфу).

> Софт обновил, конфиг 100 раз перепроверил, крешфайлы почитал...во всех случаях перезагрузка
> вызвана программным сбоем.

Стабильный софт для 720, 32 и их вариаций:
adventerprisek9_wan-mz.122-33.SXI14.bin

Сначала наливайте стабильный софт. Потом выводите в мониторинг данные всех датчиков и смотрите где что у вас переполняется или падает.

> Не знаю что может быть :(

Бывает. GOLD и ЗИП два ваших лучших помощника.

>[оверквотинг удален]
> у хостера стоит микротик WANIP 234.234.234.234 LANIP 11.0.0.1
> за микротиком у хостера стоит сервер на базе PROXMOX(DEBIAN) LANIP 11.0.0.100 LinuxBridgeIP
> 12.0.0.1
> внутри (PROXMOX-а)стоит виртуалка с астериском LANIP 12.0.0.101
> Задача поднять VPN типа IPIP между микротиком(123.123.123.123)(на микротике просто создаи
> интерфейс IPIP) и астериском(12.0.0.101)
> при этом IP адреса в тунеле будут микротик 10.60.60.2 астериск 10.60.60.1
> Proxmox натит все что надо в Астериск.
> Вопрос - что надо пробросить протоколы/порты на микротике у хостера (WANIP 234.234.234.234)
> и что пробросить на линуксе в PROXMOX.

Поднимайте IPSec. Он может работать через NAT.
Или IPIP придется поднимать не на Asterisk, а на Proxmox.

0 это значит нормально.

D1C и D0 это идентификаторы звонка внутри циски.

> Все привет.
> По какой технологии оптимальнее объединить две сетки со шлюзами Cisco и Mikrotik?
> Cisco в сети Ростелеком получает по dhcp приватный адрес. Mikrotik в сети
> другого провайдера и имеет статический публичный айпишник. Нужно запилить туннель Cisco
> -> Mikrotik. Черканите, кто знает. Заранее благодарю.

что-нибудь, работающее через nat, l2tp например, или что там у них общее, мб обычный policy-based ipsec с nat-traversal

> Доброго дня Уважаемые!
> Есть два микрота в интернете: 1.1.1.1 и 2.2.2.2
> Между ними подняли L2TP + IPSec туннель. После этого пропал доступ с
> 1.1.1.1 к внешним сервисам 2.2.2.2 (25, 143, 465 и т.п. порты).
> Как будто всё что идёт на 2.2.2.2 пытается завернуться в туннель.
> Подскажите как это решить?

Галочку Add default route снять в свойствах туннеля/соединения

> Добрый день.
> Стоит задача настройки AnyConnect Client VPN на ASA5540 для доступа в корпоративную
> сеть, который будет отказывать в установлении соединения по условию.
> Влияния на клиента нет. Т.е. технология Microsoft NAP не подходит из-за необходимости
> клиентской части.
> Подскажите, пожалуйста, какие есть пути решения? В сторону каких технологий/ настроек посмотреть?
> Заранее спасибо!

openconnet

> Добрый день.
> Стоит задача настройки AnyConnect Client VPN на ASA5540 для доступа в корпоративную
> сеть, который будет отказывать в установлении соединения по условию.
> Влияния на клиента нет. Т.е. технология Microsoft NAP не подходит из-за необходимости
> клиентской части.
> Подскажите, пожалуйста, какие есть пути решения? В сторону каких технологий/ настроек посмотреть?
> Заранее спасибо!

который будет отказывать в установлении соединения по условию.
Что значит будет отказывать? По каким условиям?

> Добрый день.
> Стоит задача настройки AnyConnect Client VPN на ASA5540 для доступа в корпоративную
> сеть, который будет отказывать в установлении соединения по условию.
> Влияния на клиента нет. Т.е. технология Microsoft NAP не подходит из-за необходимости
> клиентской части.
> Подскажите, пожалуйста, какие есть пути решения? В сторону каких технологий/ настроек посмотреть?
> Заранее спасибо!

Если внутри сети есть домен, то можно поднять RADIUS-сервер. В терминах windows это будет network policy server.
Туда нужно отдать группы пользователей, которым разрешен вход через vpn.
ASA5540 умеет проверять пользователей на Radius-сервере. В ASDM есть специальный мастер.
Кроме того, опять же если есть домен, то можно поднять службу сертификатов и выпускать сертификаты на пользователей или на группы. Это позволит сделать дополнительную проверку на актуальность сертификата. Своеобразная 2FA. Из сертификата пользователя в клиента можно подбрасывать имя пользователя. После входа пользователя можно доменной политикой обновить ему сертификат. Или например если это пользователь подрядчика, то по завершении работ по договору можно отозвать сертификат. Вобщем гибко все. И без DARTов и Umbrella.

> Всем привет,
> Имеется Cisco 1941/K9. Постоянно вращает вентилятором на максимуме. Есть ли возможность
> управлять оборотами либо если в чём-то проблема, как-то её диагностировать?
> С меня, как всегда... )

Управлять - вряд-ли.
Диагностировать можно командой "show environment all". За С1941 не скажу, но зависимости от железки должен показать соответствие температуры (или нескольких датчиков) и статус вентиляторов. В больших железках показывает и текущую скорость оборотов вентиляторов. Можно попробовать опросить по SNMP.

Как вариант - выбрать время, выключить, разобрать и почистить/продуть/пропылесосить С1941.